Datenleck zu spät gemeldet: Booking.com muss Strafe zahlen
Laut der europäischen Datenschutzgrundverordnung (DSGVO) sind Unternehmen dazu verpflichtet, Datenlecks innerhalb von wenigen Tagen zu melden. Das Portal Booking.com hatte sich in einem Fall aber gut drei Wochen Zeit gelassen. Die zuständige niederländische Datenschutzbehörde hat deshalb jetzt eine Strafe von fast einer halben Millionen Franken verhängt.
Wie das Techportal heise.de berichtete, soll sich der Vorfall bereits 2019 ereignet haben. Damals konnten Kriminelle die Daten von mehr als 4'000 Booking-Kunden abgreifen, nachdem sie sich in die Mitarbeiterkonten mehrerer Hotels in den Vereinigten Arabischen Emiraten gehackt hatten. Die Zugangsdaten hatten die Täter möglicherweise durch Phishing-Attacken erschlichen. Bei dem von dem Datenleck betroffenen Personen handelt es sich um ehemalige Gäste dieser Hotels, die ihr Zimmer über Booking gebucht hatten.
Booking weist die Vorwürfe zurück
Die Täter konnten Namen, Adressen, Telefonnummern und Buchungsdetails und zum Teil auch Kreditkarteninformationen einsehen. Anschliessend gaben sie sich als Hotelmitarbeiter aus, um weitere Gäste zu kontaktieren und noch mehr Kreditkartendaten abzufragen.
Booking weist jegliche Verantwortung für das Datenleck von sich. Es habe keine unerlaubten Zugriffe über die Buchungsseite oder die eigenen IT-Systeme gegeben. Die zuständige Datenschutzbehörde in den Niederlanden sieht aber durchaus Hinweise auf eine Mitverantwortung des Betreibers und fordert eine Strafzahlung in Höhe von 475'000 Euro.
Das Unternehmen hätte die Datenpanne innerhalb von 72 Stunden nach Bekanntwerden melden müssen. Tatsächlich ist die Meldung aber erst nach 25 Tagen erfolgt. Auch die betroffenen Kunden erfuhren erst nach 22 Tagen von Booking, dass ihre persönlichen Informationen und sogar Kreditkartennummern in den Händen von Kriminellen gelandet waren.
Booking entschuldigte sich für die späte Reaktion und versprach, seine internen Prozesse zu verbessern.
(str/t-online)
